Неизвестные продолжают эксплуатировать уязвимость кроссчейн-протокола Multichain, о которой разработчики сообщили в начале недели. По словам технического директора криптокошелька ZenGo Тала Беэри, хакеры уже вывели около $3 млн в цифровых активах.
The @MultichainOrg hack is far from being over.Over the last hours more than additional $1M stolen, rising the total stolen amount to $3M.One victim lost $960K!https://t.co/fYhYxUojB8 pic.twitter.com/Gvh5hB6t6s— Tal Be'ery (@TalBeerySec) January 19, 2022
В понедельник, 17 января, команда Multichain сообщила об уязвимости, затронувшей шесть токенов: WETH, PERI, OMT, WBNB, MATIC и AVAX. На следующий день аналитики PeckShield заявили, что неизвестные воспользовались эксплойтом и вывели более 450 ETH (~$1,4 млн по курсу на тот момент).
Позже разработчики протокола рассказали, что инцидент затронул 445 пользователей. Представители проекта призвали следовать опубликованным инструкциям, чтобы сохранить средства в безопасности.
Беэри отметил, что одна из жертв злоумышленников потеряла около $960 000. Потерпевший оставил в блокчейне Ethereum запись с просьбой вернуть криптовалюту за вознаграждение.
Хакер принял предложение и вернул активы в обмен на 50 ETH (~$157 200).
And it's a deal!The #multichain attacker / "white hat" returned the funds to the ~$1M, minus $150K "tip" as offered by the victim.#MultichainHack https://t.co/jAX6furhHi pic.twitter.com/EkGvwifoef— Tal Be'ery (@TalBeerySec) January 20, 2022
«Прежде всего, спасибо, что вы получили WETH. Я не знал о взломе и осознал ситуацию только потому, что WETH так и не поступили в мой кошелек после транзакции на CowSwap. Учитывая стоящую на кону сумму, приняли бы вы 50 ETH в качестве справедливых чаевых?», — написал пользователь в обращении к хакеру.
По словам Беэри, к хакерам обратились и разработчики Multichain. Он указал на то, что они связались с адресом, на котором хранятся 445 ETH украденных средств, и предложили награду за обнаруженный эксплойт.
Seems like @MultichainOrg reached out to the attackers offering them "bounty" (or in other words, actually paying ransom)https://t.co/DzUGUF3vX0 https://t.co/iKLh0HCBXG pic.twitter.com/yC3QEeiZhJ— Tal Be'ery (@TalBeerySec) January 18, 2022
Вместе с тем в PeckShield сообщили об еще одной уязвимости Multichain, которая затрагивает провайдеров ликвидности кроссчейн-мостов. Специалисты компании отметили, что разработчики использовали ключ администратора, чтобы вывести средства из затронутых контрактов.
FWIW: We are talking about a different exploitation that affects the bridge LP providers, instead of approving users. The vulnerability is of the same nature of the one being exploited in-the-wild. Fortunately, the team exercises the MPC admin key for fund rescue/migration.— PeckShield Inc. (@peckshield) January 20, 2022
В сообществе команду проекта раскритиковали за предоставление неоднозначной информации об инциденте и недостаточную поддержку пользователей. Аккаунт Multichain в Twitter отключил возможность комментировать записи.
I can’t be the only one who’s incredibly confused by @MultichainOrg’s messaging here Schrodinger‘s funds, both safe and unsafe at the same time pic.twitter.com/AW8s8aAhHk— ChainLinkGod.eth 2.0 (@ChainLinkGod) January 19, 2022
В разговоре с Vice администратор Telegram-канала Multichain под ником Marcel сообщил, что команда предпринимает определенные действия, однако не объявляет о них публично.
Напомним, в декабре 2021 года Multichain привлек $60 млн от Binance Labs, Circle Ventures и Tron Foundation.
